Windows 10 zabezpieczy Edge wirtualizacją – tak jak robi to Joanna Rutkowska

Podwaliny pod nią w Windowsie 10 przyniosła rocznicowaaktualizacja systemu. Virtualization Based Security (VBS)wykorzystuje hiperwizor Hyper-V, by izolować niektóre wrażliwedane i procesy od reszty systemu. Najważniejszy z tak izolowanychkomponentów systemowych to Credential Guard, wykorzystywany doprzechowywania danych logowania do sieci i kryptograficznych skrótówhaseł, tak by nie dało się wydostać ich z systemu popularnymiżniwiarkami (o ile nie są uruchomione w trybieawaryjnym).

Taka wirtualna maszyna VBS jest maleńka, działa w niej tylkokilka prostych procesów. Nie ma co tego porównywać doprzeglądarki, która jest wręcz systemem operacyjnym samym w sobie,co więcej ma też własne mechanizmy izolacji – piaskownicę(sandbox), w której uruchamiany jest kod ze stron internetowych.Piaskownica ma w teorii bardzo ograniczony dostęp do systemu, alejak praktyka pokazuje, przeróżne exploity pozwalają się z niejwydostać i uruchomić zdalnie złośliwy kod (kiedy to ostatni razwidzieliśmy biuletyny bezpieczeństwa Microsoftu bez łatek naInternet Explorera/Edge?)

W kolejnych wydaniach Windowsa 10, przeglądarka Edge miałabyjednak zostać objęta taką samą ochroną, jak wspomnianyCredential Guard. Mechanizm Application Guard uruchamiałby większośćjej kodu w wirtualnej maszynie. W środku takiej maszyny nie byłobyoczywiście całego Windowsa, tylko te fragmenty jądra i usługi,które potrzeba do uruchomienia przeglądarki. Wirtualizacja byłabybarierą nie do przebicia – nawet jeśli złośliwy kod „uciekłby”z piaskownicy, to miałby dostęp tylko do tej minimalnej wersjisystemu, nie widziałby lokalnych zasobów, żadnych innychaplikacji, nie mówiąc już o jądrze systemu-gospodarza.

Początkowo Windows Defender Application Guard for Microsoft Edgebędzie dostępny, jak sama nazwa wskazuje, tylko dla przeglądarkiEdge, i to tylko w Windows 10 Enterprise. Żadna inna aplikacja niebędzie mogła skorzystać z API tego mechanizmu. Poprzez zarządzaniepolitykami grup będzie można oznaczyć jednak pewne strony jakozaufane, bezpieczne – i wówczas Edge będzie się uruchamiałopoza maszyną wirtualną. Będzie można też ustawić, co z tyminiezaufanymi stronami jest dopuszczalne, np. czy można je drukowaćlub lokalnie zapisywać.

Kolejnym krokiem miałoby być wprowadzenie takiej ochrony wkonsumenckich wersjach Windowsa, i to tak by obejmowała też inne,popularniejsze od Edge przeglądarki, ale póki co rozbija się to owiele problemów technicznych. Przede wszystkim obcowanie z takimzwirtualizowanym Edge jest jak korzystanie z przeglądarki non stop wtrybie incognito: wszystkie zapisywane dane, ciasteczka, hasła sąulotne, znikają po zamknięciu programu. Do tego dochodzi problemkompatybilności z innym oprogramowaniem – jako że takiezabezpieczenie wykorzystuje Hyper-V, a ten wymaga sprzętowejwirtualizacji na poziomie procesora (Intel VT-d lub AMD-V), to nieuruchomimy już wówczas innych hiperwizorów, np. VirtualBoksa czyVMware Workstation. Nie ruszą także emulatory Androida, takie jakBluestacks.